Autorisations Google

Un administrateur Google Workspace ou un RSSI vérifie ce que RingSync peut faire dans son domaine Google avant d'accorder l'accès, et comment le retirer.

Ce que RingSync demande

RingSync lit les utilisateurs et les groupes de votre domaine pour construire les contacts des téléphones et calculer qui a accès à l'app. Il ne crée, ne modifie ni ne supprime aucun utilisateur, groupe ou contact de votre domaine. Les trois scopes sont en lecture seule :

https://www.googleapis.com/auth/admin.directory.user.readonly
https://www.googleapis.com/auth/admin.directory.group.readonly
https://www.googleapis.com/auth/admin.directory.group.member.readonly

Scope	Ce qu'il permet	Pourquoi RingSync en a besoin
`admin.directory.user.readonly`	Lire les profils des utilisateurs du domaine.	Construire les contacts : prénom, nom, email, téléphones, poste, département, entreprise, état suspendu et photo. Vérifier la connexion à l'annuaire.
`admin.directory.group.readonly`	Lister les groupes du domaine.	Remplir les listes de groupes du tableau de bord.
`admin.directory.group.member.readonly`	Lire les membres d'un groupe, y compris des groupes imbriqués.	Appliquer Sièges autorisés, Périmètre de synchronisation et Groupes à exclure.

Ces scopes portent sur l'ensemble du domaine, pas seulement sur les personnes qui ont un siège : le périmètre des contacts synchronisés se règle dans RingSync. Voir Choisir et exclure des groupes et Informations synchronisées.

Lecture seule par conception

Google classe ces scopes comme sensibles, mais ils ne donnent qu'un accès en lecture à l'annuaire. RingSync ne demande aucun scope en écriture, ni d'accès aux emails, à l'agenda ou à Drive.

Où les scopes sont accordés

Service Account (DWD) : dans la Google Admin Console, sous Sécurité → Contrôle des API → Délégation au niveau du domaine, liés au Client ID numérique de votre Service Account.
Se connecter à Google : sur l'écran de consentement de Google, quand l'administrateur se connecte et accepte.

Auditer l'accès

Service Account (DWD) : dans la délégation au niveau du domaine, l'entrée du Service Account doit lister exactement les trois scopes ci-dessus.
Se connecter à Google : dans RingSync, Paramètres affiche le compte qui a consenti sous Admin délégué.

Révoquer l'accès

Procédez dans cet ordre pour que les contacts soient aussi retirés des téléphones.

Dans RingSync, ouvrez Paramètres → Zone de danger, cliquez sur Supprimer l'annuaire, puis confirmez avec Supprimer. Les sièges, les synchronisations, les paramètres et les identifiants chiffrés sont supprimés, et les téléphones purgent les contacts de l'annuaire.
Chez Google :
- Service Account (DWD) : supprimez l'entrée de délégation au niveau du domaine, puis supprimez la clé, ou le Service Account, dans votre projet Google Cloud.
- Se connecter à Google : retirez l'accès accordé à RingSync depuis le compte de l'administrateur qui a consenti.

Si vous révoquez seulement chez Google

RingSync ne peut plus lire l'annuaire : les synchronisations échouent et le retrait d'un siège ne peut plus être détecté. Les contacts déjà présents restent sur les téléphones. Pour les retirer, supprimez l'annuaire dans RingSync (étape 1). Chaque personne peut aussi toucher Retirer les contacts synchronisés dans les paramètres de l'app. La purge a lieu au plus tard à la prochaine ouverture de l'app, et plus tôt si l'app est au premier plan ou si une synchronisation tourne. Voir Sécurité et données.

Détails techniques

Appels : /admin/directory/v1/users (liste complète, 500 utilisateurs par page, et un utilisateur à la fois), /groups, /groups/{groupKey}/members et /users/{userKey}/photos/thumbnail pour la photo.
Jeton : avec Service Account (DWD), RingSync signe une demande de jeton avec la clé du Service Account et agit au nom de l'administrateur indiqué dans Email administrateur à impersonate. Avec Se connecter à Google, il échange un jeton de rafraîchissement chiffré. Dans les deux cas, le jeton d'accès est de courte durée et seuls les trois scopes sont demandés.
Délai : chaque appel à Google a un délai maximal de 60 secondes côté serveur.
Mise en place : pas à pas dans Google Workspace.

Cette page vous a-t-elle été utile ?

Signaler un manque →

← Précédent

Google Workspace

Fonctionnement de la synchronisation